第２章　日本版ＳＯＸ法の概要－内部統制の制度化－

８．文書化三点セットの作成ポイント

今の例えばリスクを特定するとか、それに対するコントロールを書くとか申しましたけれども、これをもう少し具体的に、どういう書類をつくるかということをこれからご説明します。言ってみればこれからが三番目の、具体的に何をつくればいいのかという部分ですが、一般的に業務処理統制の文書化については三点セットという三種類の文書をつくります。これは実際にアメリカでも行われていることですが、最初にまず業務フローチャートをつくります。二番目が業務処理の記述書、三番目はリスクコントロールマトリックス、この三種類の表をつくります（図－９参照）。 　では具体的にそれは何かということで、図－10に、簡単にフローチャートの具体例というものを挙げています。例えば売り上げの計上サイクルというのを考えますと、得意先から商品を確かに受け取りましたという受領書が来ます。もちろんこの前提の条件として、受発注があったり出荷があったりするわけですが、説明を簡略化するためここは部分的に切り出しています。受領書が得意先から営業部門に来ます。営業部門担当者は出荷内容を確認しました。（１）番の枠です。出荷実績を入力しました。入力した結果が財務会計システムへ流れました。それから、実績表が出ました。実績表が出たら、内容を確認しました。内容を確認したら責任者に回付して、責任者はそれを承認しました。このような流れがあると仮定します。 　ただ、このフローチャートだけでは何をやっているかよくわからない。出荷内容を確認するといっても何を確認するのか。この簡単なフローチャートだけではわからないので、二番目に業務処理記述書というのをつくります（図－11参照）。先ほどの（１）番、出荷内容を確認ということの具体的な内容をここに記載します。営業部門の担当者は得意先から受領書が送付されてくると、出荷数量、納入日、販売単価等について出荷指示書に記載されている内容と照合している。ここまで書けば何をやっているかわかるでしょう。要するに、だれが、いつ、どこで、何を、どういうことをやっているんだ、ということを書いていく。 　もう一回ちょっとフローチャート（図－10）のほうに戻っていただくと、ここに三角で印をつけているんですが、いわゆるこれが財務報告が誤るかもしれないリスクを認識するということです。業務フローチャートをつくる目的は、リスクを特定するということがまず一つの大きな目的です。こういう表にしないと、なかなかどこにリスクがあるかわかりませんから、とにかくやっている業務の内容を取引の開始から帳簿に計上するまでをフローの形にして、その中でどこに財務報告が誤るリスクがあるか、これを特定する。そして特定したところが、この例では出荷実績の入力をするところということです。 　出荷実績入力というのはどういうことをやっているかというと、営業部門の担当者が受領書の内容に基づいて財務会計システムに数量、単価、売り先、出荷日等の情報を入力していると業務処理記述書に記載されていますので、ここで間違えたら財務報告が間違ってしまうんですね。一個一〇〇円を一〇〇〇円と入力したら、売上金額は一〇倍になってしまいますし、一〇個を一〇〇個としたら、それもやはり一〇倍になってしまいます。だから、財務報告が誤るリスクというのは、この入力するところにありますよねというふうに考えるんです。 　では、ここにリスクを特定したとしたら、これに対するコントロールは何をやっているか。ここでは（３）番で書いてありますが、先ほどのフローチャートの中に、出荷をチェックした後、内容確認という箱があったかと思います。そこの内容は、営業部門担当者は月次の締めを行う際、財務会計システムから出荷実績表を出力し、受領書の内容とすべて一致していることを確認していると。いわゆるこれがコントロールです。業務として実際にやっていることに加え、コントロールをフローチャートと業務処理記述書で書いている。 　ここに右のほうにＲＣＭと書いていますが、ではこのＲＣＭは何かというと、図－12を参照してください。先ほどリスクを特定しましたけれども、正確に計上されないかもしれないというリスクに対して、どのようなコントロールをやっていますか。先ほどこちらでＡのコントロールですよというふうに右の端のところで特定しましたけれども、これがＲＣＭの番号〓に該当します。このリスクに対しては、この受領書の内容と一致していることを確認したというコントロールをやっている。だから、全体としてこのリスクが軽減されているかどうかについて、いわゆるここのＲＣＭで整備状況の評価をするわけです。リスクが幾つかあって、それに対してコントロールも幾つもあります。複数のリスクを軽減しているコントロールもあるわけです。 　ここはまず一つだけリスクを特定しましたけれども、それ以外に幾つもリスクは考えられるのですが、それに対してどんなコントロールをやっているか。そのやっているコントロールで、リスクが軽減されているかどうかというのを評価するのが整備状況の評価となり、ＲＣＭを作成して行います。このように日本版ＳＯＸ法においてＲＣＭの位置づけというのは、非常に高いというふうにお考えください。 　この関連を簡単に図示したものが、図－13の三点セットの相関図です。リスクはここのフローチャートとコントロールマトリックスにリンクしています。業務フローチャートの四角と業務処理記述書のこの番号はリンクしています。この内容をここで記載しています。三番目は、ここに書いてあるコントロールは、ここのコントロールと対応しています。リスクに対するコントロールの関係が、リスクコントロールマトリックスというものでまとめられています。